260 vulnerabilità nei plugin WordPress trovate, 38 non corrette
Wordfence, la società di sicurezza dietro Wordfence Intelligence, ha riferito che 260 vulnerabilità dei plugin WordPress sono state divulgate la scorsa settimana, dal 7 al 13 settembre 2026, in 207 plugin. Queste vulnerabilità sono state aggiunte al database delle vulnerabilità di Wordfence Intelligence e 147 ricercatori di vulnerabilità hanno contribuito alla sicurezza di WordPress durante quel periodo. Il rapporto fa parte dello sforzo settimanale di Wordfence per rendere le informazioni sulle vulnerabilità liberamente accessibili, supportando ciò che l'azienda chiama difesa in profondità per i siti WordPress.
Delle 260 vulnerabilità, 221 sono già state corrette, una è parzialmente corretta e 38 restano non corrette. Per gravità, 184 sono classificate come Medie, 66 come Alte e 10 come Critiche. Il tipo di debolezza più comune è stato il Cross-site Scripting (XSS), una falla che consente agli aggressori di iniettare script dannosi nelle pagine visualizzate da altri utenti, rappresentando 66 dei risultati. La mancanza di autorizzazione (quando un plugin non verifica se un utente ha il permesso di eseguire un'azione) ha rappresentato 58, l'esposizione di informazioni sensibili 21, l'iniezione SQL 18, la gestione impropria dei privilegi 15, il bypass dell'autorizzazione tramite chiave controllata dall'utente 13, il path traversal 11, la deserializzazione di dati non attendibili 10, l'iniezione di codice 9, l'autenticazione impropria 6, il caricamento di file senza restrizioni 6, l'applicazione lato client della sicurezza lato server 5, la cross-site request forgery 5, l'inclusione remota di file PHP 3, la verifica insufficiente dell'autenticità dei dati 2, il fallimento del meccanismo di protezione 2, il redirect aperto 2, il bypass dell'autenticazione tramite percorso o canale alternativo 1, il CAPTCHA indovinabile 1, l'iniezione 1, l'autorizzazione errata 1, la mancanza di autenticazione per funzioni critiche 1, la server-side request forgery 1, il consumo incontrollato di risorse 1 e la modifica della password non verificata 1.
I plugin interessati elencati nel rapporto Wordfence includono AcyMailing, Advanced Contact form 7 DB, Advanced Customized Prompts, Advanced Partial Payment or Deposit for WooCommerce, Advanced Product Fields Extended for WooCommerce, AI Builder, Anti-Spam by CleanTalk, Aruba HiSpeed Cache, Awesome Support, BackWPup, bbPress, BEAR, Beaver Builder, Bold Page Builder, Bold Timeline Lite, Amelia, Bookit, Booktics, Buddyforms, BuddyPress, Builderall for WordPress, Bulk Password Reset, CatalogX, Checkout Custom Fields Builder for WooCommerce, CODE MONKEYS PROPOSALS, FormyChat, Contact Form to DB by BestWebSoft, Content Mask, CoolClock, CryptoPayment Gateway, Csomagpontok és Címkék WooCommerce-hez, Custom Menu Wizard Widget, Direct Download for WooCommerce, Domain For Sale, Drag and Drop File Upload for Elementor Forms, DT LMS, Easy Appointments, Easy Google Fonts, EDD Product Catalog Feed by PixelYourSite, ElasticPress, ELEX WooCommerce Request a Quote, Email Subscribers & Newsletters, Event Booking Manager for WooCommerce, Event Tickets and Registration, Eventin, EventON, Everest Forms, Featured Image with URL, FireBox, Flexible Quantity, Floating Chat Widget (Chaty), Form Maker by 10Web, Frontegg SAML SSO, GamiPress, Gato GraphQL, GEO my WP, Gpx2Graphics, Graphina, Groundhogg, Gutenverse News, Hide My WP Ghost, HT Menu, HUSKY, Hustle, ilGhera Reviso Exporter for WooCommerce, IMPress for IDX Broker, Insert or Embed Articulate Content, IP2Location Country Blocker, IPGP Visitors Origin, JCH Optimize, JetFormBuilder, Jetpack, Kirki, LearnPress, Live Composer, LukasApps CAPTCHA tools for Contact Form 7, Mail Mint, MailMunch, Master Addons for Elementor, Masteriyo LMS, MDJM Event Management, Media Library Assistant, MemberPress Corporate Accounts, MetForm, miniOrange 2FA, MIPL Checkout Fields Manager for WooCommerce, Mobile Events Manager, MPG, MultiVendorX, Music Store, My Calendar, Nexi XPay Build, Next-Cart Store to WooCommerce Migration, Ninja Forms, Notiqoo, Bookly, Open User Map, Orbit Fox, OTP Login & Register Woocommerce, Page Visits Counter, Passster, Payment Gateway PayPay for WooCommerce, Payment Plugins for PayPal WooCommerce, Payment Plugins for Stripe WooCommerce, PDF Builder for WooCommerce, Podlove Podcast Publisher, myCred, Product Filter for WooCommerce by WBW, Product XML Feed Manager for WooCommerce, PublishPress Capabilities, Quads Ads Manager, Quentn WP, Quiz and Survey Master, Rara One Click Demo Import, Really Simple Security, Redux Framework, Registration Form for WooCommerce, Relevanssi, RepairBuddy, Repeater Fields for Gravity Forms, Return Refund and Exchange For WooCommerce, Robokassa payment gateway, Rox Appointment Booking, Royal Addons for Elementor, rtMedia, RTMKit, Salon Booking System, SEO Flow by LupsOnline, Shirt Product Designer for WooCommerce, Sidebar Manager Light, Simple Ajax Chat, Simple CAPTCHA with Cloudflare Turnstile, Simple Membership, Simple Payment, Sina Extension for Elementor, Site Kit by Google, Site Reviews, SiteSkite, Sky Addons for Elementor, Slim SEO, Smart Marketing SMS and Newsletters Forms, SMS Alert, Sprout Invoices, SSL Zen, Starter Templates, Sticky Chat Widget, Sunshine Photo Cart, SupportCandy, SureCart, SureRank SEO, Tangible Loops & Logic, Teddy Bear Customize Addon, Temporary Login Without Password, Thanko Thank You Page Customizer for WooCommerce, The Events Calendar, ThemeREX Addons, Themify WooCommerce Product Filter, Translate WordPress with GTranslate, Tutor LMS, Ultimate Gift Cards for WooCommerce, Unbounce Landing Pages, Unlimited Elements for Elementor, User Access Manager, User Registration & Membership, UsersWP, Verified Reviews, Vigilant, e Visual Composer Website Bui.
Il rapporto accredita anche 147 ricercatori di vulnerabilità per i loro contributi. I principali ricercatori sono stati Wordfence PRISM con 25 vulnerabilità, Artus KG, Ananda Dhakal e Jakub Herman con 10 ciascuno, Yaswanth Reddy Sunkara, 0xBassia e Karthik Ramakrishnan con 6 ciascuno, Philipp Doblhofer con 5, e Peng Zhou, daroo, Pedro Pinho e Nabil Irawan con 4 ciascuno. Molti altri ricercatori hanno contribuito con una vulnerabilità ciascuno. Wordfence Intelligence offre il suo database delle vulnerabilità, API e integrazione webhook gratuitamente per uso personale e commerciale, con oltre 40.000 vulnerabilità nel database, consentendo a proprietari di siti, provider di hosting e aziende di rimanere aggiornati sulle nuove divulgazioni.
Per i proprietari di siti, il consiglio pratico è l'azione immediata: 38 vulnerabilità sono ancora non corrette, il che significa che gli aggressori possono sfruttarle in questo momento. Aggiornate tutti i plugin non appena sono disponibili le patch, rimuovete i plugin inutilizzati e utilizzate un firewall o un plugin di sicurezza per bloccare i tentativi di exploit comuni. L'hosting WordPress gestito come AEU Hosting aiuta fornendo backup automatici, hardening della sicurezza, ottimizzazione delle prestazioni, SSL e supporto esperto, in modo che un sito possa riprendersi rapidamente se un plugin vulnerabile viene compromesso.